Systemrichtlinien-Editor poledit.exe
Poledit auf einem Einzelplatzrechner.
Es sollten zusätzlich das Passwort zum BIOS aktiviert sein, sowie alle Einträge aus der Registry unter Folders und Drive im Zweig
HKEY_CLASSES_ROOT\ entfernt werden, mit denen es möglich ist, über die rechte Maustaste (auch im Dialogfeld öffnen und speichern) ein Explorerfenster zu öffnen. (Obwohl der Explorer evtl. nicht freigegeben ist, lässt sich so eine Instanz starten!)

Voraussetzung: Das System muss beim Starten ein Einloggen mit Benutzername + Passwort ermöglichen.
1. System starten und als Administrator (besitzt alle Rechte) einloggen
2. Systemrichtlinien-Editor (poledit.exe) starten
3. "Datei - Registrierung öffnen"
Erklärung: Die Einstellungen unter "Lokaler Computer" bleiben immer erhalten, egal, unter welchem Namen man sich einloggt.
Die Einstellungen unter "Lokaler Benutzer" dagegen werden dem User zugewiesen, der gerade eingeloggt ist. Das heißt, man kann die Zugriffsrechte eines Benutzers nur ändern, wenn man sich unter seinem Namen eingeloggt hat!
Finger weg von "Datei - Neu" - das funktioniert auf Einzelplatzrechnern nicht!
Immer "Datei - Registrierung öffnen" verwenden!
4. "Lokaler Computer" öffnen und gewünschte Einstellungen vornehmen - TIPP: Bei "System - Ausführen" vorläufig poledit.exe eintragen, dann wird das Programm immer gestartet, egal wer sich einloggt. Vorteil: Man kann verschiedene Benutzer konfigurieren, denen man natürlich den Zugriff auf poledit.exe nicht gewähren darf (sonst könnten sie ja ihre Rechte selbst ändern), wenn man ihnen aber keinen Zugriff gibt, kann man die Rechte ja gar nicht einstellen; also bei "Lokaler Computer" das Programmstarten lassen, dann wird es nämlich ausgeführt.
5. "Lokaler Benutzer" öffnen und gewünschte Einstellungen vornehmen - als Administrator sich selbst natürlich alle Rechte gewähren und NIE poledit.exe sperren (nie "Programme zum Bearbeiten der Registrierung deaktivieren" ankreuzen), sonst sperrt man sich selbst aus und kann nichts mehr einstellen!!!
6. Unter neuem Benutzernamen einloggen und jeweils gewünschte Einstellungen vornehmen. Nicht vergessen, poledit.exe bei allen anderen zu sperren (System - Zugriffsbeschränkungen - Programme zum Bearbeiten der Registrierung deaktivieren).
7. Damit nun neue Benutzer, die sich mit einem neuen, dem Computer nicht bekannten Usernamen einloggen - oder bei dem Dialog einfach auf "Abbrechen" klicken - keine Rechte haben:
Den Dialog zum Einloggen öffnen, aber keinen Namen oder Passwort eingeben, sondern auf "Abbrechen" klicken. Dann poledit starten und bei "Lokaler Benutzer" sämtliche Rechte deaktivieren, unter einem anderen Namen wieder einloggen und fertig!
Nicht vergessen: Die Einstellungen bei "Lokaler Computer" sind für alle User gültig. Die Programme, die dort eingetragen sind (bei Ausführen), werden IMMER gestartet, egal, wer sich einloggt. Also dort am besten keine Programme starten lassen, sondern nur über den Autostart-Ordner.